CentOS Stream 8的日志管理方法是什么

CentOS Stream 8 日志管理方法

一 核心组件与日志位置

• 使用 systemd-journald 集中管理日志，配合 journalctl 查询；传统应用日志多写入 /var/log/ 目录。
• 常用日志路径与用途：
  • /var/log/messages：综合系统消息
  • /var/log/secure：安全与认证相关（如 sshd）
  • /var/log/audit/audit.log：审计日志（auditd）
  • /var/log/nginx/、/var/log/httpd/：Web 服务日志
• 查看内核启动信息可用 dmesg。

二 查看与检索日志

• 查看本次启动日志：journalctl -b
• 实时跟踪日志：journalctl -f
• 查看指定服务：journalctl -u sshd（将 sshd 替换为实际服务名）
• 按时间范围：journalctl --since “2025-12-01” --until “2025-12-05”
• 按优先级：journalctl -p err（常用级别：emerg、alert、crit、err、warning、notice、info、debug）
• 查看最近 N 条：journalctl -n 100
• 传统文件查看：less /var/log/messages、cat /var/log/secure
• 登录审计：last、last reboot

三 日志轮转与保留策略

• 使用 logrotate 做按大小/时间的轮转与压缩，配置位于 /etc/logrotate.conf 与 /etc/logrotate.d/。
• 示例（为自定义应用日志 /var/log/myapp.log 配置）：

  /var/log/myapp.log {
      daily
      rotate 7
      compress
      delaycompress
      missingok
      notifempty
      create 640 root adm
  }
  

• 常用参数说明：
  • daily：每天轮转；rotate 7：保留 7 份；compress：压缩旧日志
  • delaycompress：下次轮转再压缩；missingok：文件不存在不报错
  • notifempty：空文件不轮转；create：轮转后新建文件的权限与属主属组
• 测试与执行：
  • 手动强制执行：logrotate -f /etc/logrotate.conf
  • 通常由 /etc/cron.daily/logrotate 每日自动调用；可查看 /var/log/logrotate.log 了解轮转情况。

四 持久化与远程集中

• 持久化 journald 日志：编辑 /etc/systemd/journald.conf，将 Storage=persistent，然后重启服务：

  sudo sed -i 's/^#Storage=.*/Storage=persistent/' /etc/systemd/journald.conf
  sudo systemctl restart systemd-journald
  

• 远程集中与转发：使用 rsyslog 或 syslog-ng 将日志发送到远程日志服务器，便于统一存储与分析。
• 审计日志：通过 auditd 记录安全审计事件，规则位于 /etc/audit/audit.rules，修改后重启 auditd 生效。

五 分析与可视化

• 命令行分析：结合 grep/awk/sort/uniq 对日志做关键字检索与统计，例如统计访问量最高的 IP：

  awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head
  

• 报表与告警：使用 logwatch 生成日报/周报并邮件发送给管理员（如已安装）。
• 集中可视化：部署 ELK Stack（Elasticsearch、Logstash、Kibana） 或 Splunk，实现日志的收集、检索、分析与可视化。